Anuncios falsos en buscadores instalan un programa espía en computadoras Mac disfrazado de actualización del sistema

Qué ocurrió

Investigadores identificaron una campaña de publicidad maliciosa vinculada a Corea del Norte que usa anuncios patrocinados en buscadores para dirigir a usuarios de Mac hacia sitios falsos. Estos sitios muestran una pantalla completa que simula una actualización del sistema operativo y engañan a la persona para que copie y pegue, sin darse cuenta, un comando malicioso en la aplicación Terminal. El comando instala un programa que se conecta cada cinco minutos a un servidor controlado por los atacantes y ejecuta instrucciones adicionales. La campaña es una nueva variante de una operación conocida como “Contagious Interview”, que antes usaba ofertas de empleo falsas como señuelo y ahora se extiende a situaciones de navegación cotidianas, como búsquedas de equipo médico o de laboratorio.

Quién está expuesto

Cualquier persona con una computadora Mac que haga clic en resultados de búsqueda patrocinados, especialmente quienes guardan carteras de criptomonedas o credenciales de trabajo, como accesos a AWS, Azure, repositorios de código o servidores, en el navegador.

A considerar

El programa también instala una extensión de navegador falsa que se hace pasar por “Google Drive Offline” para vaciar carteras de criptomonedas, y roba credenciales guardadas en Chrome, Brave, Edge, Firefox, Opera y Vivaldi. Quien haya seguido instrucciones para “actualizar macOS” desde un sitio inesperado debería revisar las extensiones instaladas en su navegador y cambiar las credenciales guardadas en él.

Impacto potencial

El robo de credenciales de servicios en la nube, repositorios de código y accesos remotos puede convertirse en una puerta de entrada a la infraestructura de una organización, además de la pérdida directa de fondos en criptomonedas de la persona afectada.

Leer fuente original →